Microsoft: attacchi a sistemi Windows XP in rapido aumento

[hermanss]

E ci credo...dopo 8 anni e più che XP sta in commercio hanno fatto pratica!

[pabloski]

il punto rimane sempre lo stesso e cioè

1. chi produce beni/servizi ha l'obbligo di garantirne il funzionamento entro i termini pattuiti dal contratto che intercorre tra lui e il cliente ( xp è supportato fino al 2014 e questo l'ha deciso ms non noi )

2. io critico la politica dei rilasci mensili che spesso lascia scoperti gli utenti per troppo tempo

3. se ms ha deciso di non rilasciare un aggiornamento out-of-band vuol dire che la falla non è poi così grave, ergo stanno montando tutta questa scenata solo per criticare google ( perchè è un competitor ) e per ragioni di marketing

il punto è che ms in questi ultimi anni si è trasformata a turno in telemarkettaro o patent troll a seconda degli obiettivi del momento

qualche anno fa trapelarono email che Allchin scrisse a Ballmer facendo notare proprio questo....erano lamentele provenienti da uno dei vicepresidenti di ms non da un gruppo di cantinari linari

quello che noto è proprio questo

l'altro discorso riguarda il trattamento speciale che l'industria del software riceve....in nessun altro settore industriale, le aziende hanno così poche responsabilità....e non si può dire che il software è complesso, perchè pure costruire una centrale atomica lo è, pure mantenere una piattaforma petrolifera o costruire un treno

e infatti tempo fa fu proposta una legge che inchiodasse le software house alle loro responsabilità, poi però non se n'è fatto più nulla

riguardo l'hardware, credetemi, è molto molto più complicato costruire hardware senza bug che software....eppure intel, nvidia e ati sono inchiodate alle loro responsabilità

[WarDuck]

Originariamente inviato da Six1

Microsoft fornisce supporto non per chi ha comprato W.Xp 14 anni fà (anche se indirettamente ne beneficia ovviamente)
Ma lo fornisce(ed è un dovere) a tutti coloro hanno acquistato Netbook con Sistema Operativo Xp fino a tutto il 2009 inizi 2010.

Quindi se permetti almeno 4-5 anni di supporto a chi ha acquistato Netbook fino al 2009 inizi 2010 va dato.

E dove sta scritto? Per quanto mi riguarda avrebbero potuto benissimo dare 2 anni di supporto (ma anche 1), e sarebbe stato grasso che cola.

Originariamente inviato da Six1

Poi c'è una differenza abissale tra un Sistema Operativo e Software in generale... quindi il Tuo paragone sugli anni di supporto è poco indicato.

E quale sarebbe questa differenza?

Originariamente inviato da Six1

Se Microsoft vuole essere il numero 1 sa benissimo che deve supportare i suoi clienti.
Windows Xp,Vista e adesso 7 sono Sistemi Operativi presenti in moltissimi ambiti Non solo quelli casalinghi... come pensare di Non fornire supporto a Sistemi simili?

E' impensabile. Se non supportasse a dovere la sua clientela sarebbero dolori.

Guarda che nessuno ha detto che NON DEVE FORNIRE SUPPORTO.

14 anni di supporto per un software sono una enormità. Le aziende serie pianificano gli aggiornamenti, e dato che la deadline di XP era stata messa prima già avrebbero dovuto mettere in conto di passare ad altri sistemi (anche open source ovviamente).

Inoltre ripeto, una azienda che ha speso 90€ per una licenza OEM ha ammortizzato il costo della licenza in tutti questi anni e se continua a tenerlo fino al 2014, XP gli sarà costato mediamente 6€/annui.

Originariamente inviato da Six1

Inoltre se W. Vista non ha sfondato un motivo ci sarà stato tu che ne pensi? Non è quindi giusto e non è neppure conveniente per Microsoft che in mancanza di una Sistema Operativo valido(quale è stato Vista) per certi ambiti il Suo sostituto (quale è stato Xp) non venga supportato a dovere.

14 anni anche 20 se gli conviene ... e fidati è convenuto più a loro che a noi utonti.

Per Vista ne ho già parlato precedentemente, è inutile dire che è stato demonizzato più del dovuto (perché comunque è vero che alcuni problemi di gioventù ce li aveva).

A dimostrarlo è l'esperimento Mojave (in pratica un Vista mascherato) che ha ricevuto apprezzamenti da tutti i partecipanti all'esperimento (sopratutto i detrattori di Vista).

Comunque al di là di questo, forse non avete idea di quanto costi per una azienda mettere mano a codice vecchio (la manutenzione rappresenta il 60% dei costi di sviluppo).

Chiaramente dal punto di vista di marketing offrire 14 anni di supporto offre un ritorno di immagine positivo (anche se c'è ancora gente capace di lamentarsi anche di questo).

[WarDuck]

Originariamente inviato da pabloski

il punto rimane sempre lo stesso e cioè

1. chi produce beni/servizi ha l'obbligo di garantirne il funzionamento entro i termini pattuiti dal contratto che intercorre tra lui e il cliente ( xp è supportato fino al 2014 e questo l'ha deciso ms non noi )

Ma infatti il problema lo vedi solo te.

Originariamente inviato da pabloski

2. io critico la politica dei rilasci mensili che spesso lascia scoperti gli utenti per troppo tempo

Vista e 7 non hanno avuto di questi problemi, e ripeto quel tempo serve per testare le patch, dato che ogni modifica può potenzialmente introdurre altri bug, cosa che insegnano ai corsi base di ingegneria del software.

Originariamente inviato da pabloski

3. se ms ha deciso di non rilasciare un aggiornamento out-of-band vuol dire che la falla non è poi così grave, ergo stanno montando tutta questa scenata solo per criticare google ( perchè è un competitor ) e per ragioni di marketing

Ovvio che non è grave, c'è anche un work-around .

No, la critica sta nel fatto che è stato rilasciato un exploit funzionante senza dare il tempo a MS di fare la patch.

Ci sarebbe da chiedersi se non sia Google a fare marketing contro Microsoft, dato che sono loro che hanno rilasciato l'exploit (e della serie, "vedete? non correggono i bug!!!").

Originariamente inviato da pabloski

l'altro discorso riguarda il trattamento speciale che l'industria del software riceve....in nessun altro settore industriale, le aziende hanno così poche responsabilità....e non si può dire che il software è complesso, perchè pure costruire una centrale atomica lo è, pure mantenere una piattaforma petrolifera o costruire un treno

Già ne abbiamo discusso, continui a ripetere le stesse cose senza leggere quello che scrivono gli altri.

Software per uso mission-critical è testato su basi matematiche (ti dirò di più, si lavora per scrivere le specifiche del software in linguaggio matematico per poi far scrivere il software in maniera automatica), cosa che non avviene per il resto del software in ambito SOHO, dato che non è richiesto.

Poi devi considerare che un conto è un bug del sistema che accidentalmente provoca dei danni gravi, un conto è sfruttare un bug intenzionalmente per arrecare danno, sono due cose diverse che sembri non considerare.

Originariamente inviato da pabloski

riguardo l'hardware, credetemi, è molto molto più complicato costruire hardware senza bug che software....eppure intel, nvidia e ati sono inchiodate alle loro responsabilità

Questo è in genere falso, la progettazione e realizzazione di un circuito elettrico, oltre ad essere consolidata da molto più tempo, è anche aiutata da strumenti e test che consentono di misurare variabili del sistema (dirette ed indirette) che stiano entro certi parametri misurabili (e spesso questo basta per garantire il funzionamento).

Senza contare che ci sono dei simulatori per l'hardware, disegno il mio chip e poi testo il funzionamento (sempre tramite software, guarda caso).

Comunque la differenza più grande è che se l'hardware si guasta basta sostituirlo e l'affidabilità torna com'era prima, cosa assolutamente non vera per il software, dove appunto fixare il codice significa potenzialmente introdurre altri difetti (tant'è che è per questo motivo che dopo un po' non conviene più patchare codice ma scriverlo da 0).

Inoltre in genere l'hardware (inteso anche come apparecchi elettronici di varia natura) non è estendibile facilmente con moduli o programmi di terze parti. E' progettato in un modo e muore in quel modo, cosa che non è vera per il software data la sua programmabilità ed estensibilità.

In ogni caso alterazioni del comportamento dovute ad una manomissione intenzionale non possono essere addebitate a chi produce il prodotto, dato che questo viene garantito per come è stato progettato inizialmente.

[pabloski]

Originariamente inviato da Albedro

la differenza di problemi di compatibilita' sulle macchine tra windows e Linux e' abissale a sfavore per le distro linux rispetto a windows .

è una sparata bella e buona....linux supporta più hardware di windows se consideriamo oltre ai soliti piccì il settore mobile, quello embedded, quello scada, ecc...

il problema non e' windows, il problema sono gli installer che la gente con la banda larga a casa scarica ed installa a volonta' dai muli e le torrenti tutto il giorno ,ovvero dal file sharing e che sono fonti non attendibili al 100%

ovvero è sempre colpa dell'utente? e i siti che girano su IIS e vengono violati per installarci sopra iframe che installano automaticamente malware tramite falle del browser? anche lì è colpa dell'utente?

è troppo comodo scaricare la responsabilità sempre sull'utente...l'utente è responabile solo in caso di infezioni da trojan

Gli installer dei software commerciali e non per esser sicuri che non siano contaminati con programmi malevoli che si installano sul sistema assieme nel mentre l'utente installa il software si scaricano solo da siti ufficiali o da siti affidabili ..non dal p2p o siti underground ecc

e quando i siti affidabili vengono bucati che si fa?

i drive by download con autoinstallazione di malware si hanno solo se il browser web che usa il client ha vulnerabilita' critiche di esecuzione codice da remoto (remote arbitrary code execution) ..

vulnerabilità che esistono e sono abbastanza diffuse, soprattutto su IE

se Internet Explorer come qualsiasi saltro browser non hanno vulnerabilita' aperte ( unpatched) di esecuzione di codice da remoto perche' aggiornati alle loro ultime versioni ( sia Internet Explorer che Firefox che Opera si

solo perchè aggiorni all'ultima versione sei al sicuro? quindi se oggi aggiorno all'ultima versione di IE sarò certo di non avere mai più problemi del genere?

a me pare che le vulnerabilità vengono scoperte di continuo e i kit di exploit aggiornati ogni giorno e inoltre sul mercato nero si vendono exploit per bug ancora non noti al grande pubblico

e poi anche se accadesse cio' esiste il sistema di sicurezza DEP & ASLR di Vista e Windows7 ( solo DEP su XP ) per prevenire che l'exploit sul browser o plug-ins VULNERABILI A TALE EXPLOIT vada a creare un buffer o heap overflow nelle aree di memoria del programma vulnerabile che si sta

sistemi che aiutano a prevenire non a bloccare totalmente...se bastasse randomizzare il layout delle strutture dati in memoria allora vivremmo in un mondo senza più malware

cosa che ovviamente non ha riscontri reali

Solo se tutto cio' fallisse allora entra in ultima spiaggia la funzionalita' dell' antivirus con la sua protezione permanente in tempo reale sulla macchina che protegge ed avverte lo user bloccando il malware prima che si autoinstalla ...

l'antivirus lo metti come difesa estrema? io lo metterei tra le difese inutili....i codici polimorfici permettono di bypassare gli antivirus con estrema facilità

i web server non sono corrroti per attacchi al sistema operativo su cui gira il web server stesso ( linux o Windows server etc) ..i server e nella

a volte succede così, a volte viene attaccato il web server altre volte il server del dbms, altre ancora le webapplications

fattispecie i siti web sono attaccati per poterci piazzare sopra i vari exploit per i browser o i plug-ins del brower non tenuti aggiornati da parte dei navigatori del web ( perche' disabilitano i servizi automatici di autoaggiornamentoi di Windows e IE8 annesso o di Firefox , Opera ,etc + quello dei plug-ins del browser come Flash Player & Java Vm) nel 90% tramite sql injection, ovvero cercando gli hacker falle sull'applicativo web che gira sul server perche' compilato coi piedi e non a norma nel codice ....

esistono pure le falle 0-day contro cui non c'è aggiornamento che tenga e c'è pure un florido mercato nero di falle non pubbliche

Il piazzare gli exploit sui siti web e' OS indipendente al server web con i soliti e classi attacchi sql injection..

no, l'OS c'entra così come c'entrano il dbms, il web server, ecc...

la sql injection è solo uno dei modi per bucare un sito ma non l'unico e anzi le grosse organizzazioni usano falle del web server e/o del dbms nella maggior parte dei casi

se non sai cosa sia l'sql injection googla ed informati al riguardo

considerando che è il mio lavoro direi di sapere cos'è

Per concludere se linux avesse un mercato ampio come windows le softwarehouse inizierebbeo a scrivere programmi commerciali come quelli che esistono per windows per poterne vendere sempre di piu' e soddisfare anche questa utenza

cosa che sta accadendo

Se accadesse cio' gli utenti Linux home & office user ( client) inizierebbero a cercare questi programmi warez dal file sharing per non pagarli invece che acquistarli e scaricarli dai siti ufficiali o da un eventuale App Store se a te piace l'App store

perchè mai? quei programmi sarebbero accessibili dai repository così come lo sono quelli open

forse non sai che canonical, ad esempio, ha messo su un appstore

In questo caso basterebbe che gli hacker per ovvie ragioni di interesse a far diffondere i loro malware verso tutti e nn solo verso il sistema piu' diffuso che e' windows scrivessero programmi malevoli compilati anche per Linux ( lo sviluppare un software con funzionalita' malevola invece che utile come

ma come? linux non ha millemila versioni delle librerie, l'api che cambia ogni 3x4 e l'abi che saltella?

questi, che per alcuni sono problemi, in questo caso si rivelano pregi che rendono linux più sicuro

ti sfido a creare un rootkit che funzioni su tutte le distribuzioni linux attualmente in circolazione

tutto questo per farti capire che hai straparlato senza conoscere come ma soprattutto perche' avvengono le cose

appunto, informati prima di straparlare e se sei sicuro di quello che dici, accetta la mia sfida

[pabloski]

Originariamente inviato da WarDuck

Ma infatti il problema lo vedi solo te.

non direi, mr-paul per esempio dice che ms non è tenuta a supportare xp

Vista e 7 non hanno avuto di questi problemi, e ripeto quel tempo serve per testare le patch, dato che ogni modifica può potenzialmente introdurre altri bug, cosa che insegnano ai corsi base di ingegneria del software.

vista e 7 hanno malware come xp

non so come ti sia venuta l'idea che questi due sono invulnerabili....prima si è parlato di trojan, quelli funzionano pure su 7

ma ci sono l'infector che usano le vulnerabilità di adobe reader ad esempio

credere che basti uac per creare un os invulnerabile è da pazzi

riguardo le patch, non basterebbero 4 miliardi di anni per verificare la mancanza di ulteriori vulnerabilità nelle patch....infatti a volte ms ha rilasciato patch che a loro volta aprivano altri buchi

Ovvio che non è grave, c'è anche un work-around .

meno male che almeno su questo siamo d'accordo

No, la critica sta nel fatto che è stato rilasciato un exploit funzionante senza dare il tempo a MS di fare la patch.

ms è stata avvisata con 5 giorni di anticipo ed è pratica standard pubblicare l'exploit dopo 5 giorni....fanno tutti così

Ci sarebbe da chiedersi se non sia Google a fare marketing contro Microsoft, dato che sono loro che hanno rilasciato l'exploit (e della serie, "vedete? non correggono i bug!!!").

certo, google ha interesse a ridicolizzare ms, ciò non toglie che l'ingegnere di google ha agito come fanno tutti gli altri ricercatori di vulnerabilità

Software per uso mission-critical è testato su basi matematiche (ti dirò di più, si lavora per scrivere le specifiche del software in linguaggio matematico per poi far scrivere il software in maniera automatica), cosa che non avviene per il resto del software in ambito SOHO, dato che non è richiesto.

veramente, che io sappia, la formal verification è un campo in cui ci sono ancora molte incertezze e infatti solo due OS ( L4 e Integrity ) sono formalmente verificati...gli altri continuano a scrivere software come si è sempre fatto, anche software mission-critical

Poi devi considerare che un conto è un bug del sistema che accidentalmente provoca dei danni gravi, un conto è sfruttare un bug intenzionalmente per arrecare danno, sono due cose diverse che sembri non considerare.

ciò non implica il decadere della responsabilità del produttore....il fatto di produrre sistemi di sicurezza difettosi, ad esempio, è una grave mancanza anche se il difetto è usato da un terzo per entrare in casa tua e rubare

il punto è che l'industria del software non ha responsabilità civili ( se mi svuotano il conto in banca tramite uno spyware installato con un pdf maligno tu, adobe, mi devi risarcire ), cosa che invece vale in tutti gli altri settori

Questo è in genere falso, la progettazione e realizzazione di un circuito elettrico, oltre ad essere consolidata da molto più tempo, è anche aiutata da strumenti e test che consentono di misurare variabili del sistema (dirette ed indirette) che stiano entro certi parametri misurabili (e spesso questo basta per garantire il funzionamento).

esistono testbed pure per il software ed inoltre la complessità di un circuito elettronico è molto più elevata di un software

un software non ha a che fare con le bizze della fisica, i cambiamenti di stato del materiale, le fluttuazioni nelle proprietà elettroniche indotte dalle variabili ambientali, ecc...

il fatto che esistano librerie di circuiti logici ( del resto esistono pure librerie di funzioni software ) non implica che progettare un microprocessore sia semplici dal punto di vista del garantirne il funzionamento

i test sui circuiti si fanno come quelli sul software, ovvero si fa girare il circuito in varie condizioni e si vede se ha problemi o meno

Senza contare che ci sono dei simulatori per l'hardware, disegno il mio chip e poi testo il funzionamento (sempre tramite software, guarda caso).

il software non ne ha bisogno, perchè la simulazione è far girare il software stesso in condizioni controllate

Comunque la differenza più grande è che se l'hardware si guasta basta sostituirlo e l'affidabilità torna com'era prima, cosa assolutamente non vera per il software, dove appunto fixare il codice significa potenzialmente introdurre altri difetti (tant'è che è per questo motivo che dopo un po' non conviene più patchare codice ma scriverlo da 0).

non parlo di guasti hardware, parlo di errori di progettazione dell'hardware e quelli si fixano pure loro

come vedi l'ingegneria usa sempre gli stessi metodi sia che si tratti di costruire case che programmi

Inoltre in genere l'hardware (inteso anche come apparecchi elettronici di varia natura) non è estendibile facilmente con moduli o programmi di terze parti. E' progettato in un modo e muore in quel modo, cosa che non è vera per il software data la sua programmabilità ed estensibilità.

l'hardware non è estendibile? e perchè mai? i vari SoC ARM insegnano il contrario

In ogni caso alterazioni del comportamento dovute ad una manomissione intenzionale non possono essere addebitate a chi produce il prodotto, dato che questo viene garantito per come è stato progettato inizialmente.

appunto, viene garantito per funzionare entro certi parametri, che mai vengono rispettati nel caso del software

avere un buco in un servizio del sistema operativo che permette l'installazione di malware è un vizio di progettazione e come tale a carico del produttore....credi che altrimenti fornirebbero le patch?

ms e soci non patchano per beneficenza, ma perchè è un loro obbligo contrattuale

Per Vista ne ho già parlato precedentemente, è inutile dire che è stato demonizzato più del dovuto (perché comunque è vero che alcuni problemi di gioventù ce li aveva).

mmm Ballmer lo ha definito un errore, vedi tu

A dimostrarlo è l'esperimento Mojave (in pratica un Vista mascherato) che ha ricevuto apprezzamenti da tutti i partecipanti all'esperimento (sopratutto i detrattori di Vista).

veramente io, all'epoca, ho letto un sacco di commenti negativi....fu un esperimento a porte chiuse, dove non era chiaro quale hardware fosse stato usato, chi fossero i partecipanti, nessuna fonte indipendente potè intervistare i partecipanti

fu ampiamente criticato da tutta la stampa specializzata e rapidamente affossato, tanto che Ballmer alla fine sostenne che vista era in realtà un work in progress, lasciando intendere che 7 era la versione finale di vista

Comunque al di là di questo, forse non avete idea di quanto costi per una azienda mettere mano a codice vecchio (la manutenzione rappresenta il 60% dei costi di sviluppo).

pure per la FIAT è costoso offrirti assistenza, ma i contratti esistono e gli obblighi pure....ms non ti fa certo un favore

[pabloski]

Originariamente inviato da Albedro

non c'e' bisogno di fare scansioni con l' antivirus se gli fosse entrato malware tramite un exploit iniettato su qualche sito web dove tuo padre ha navigato ( server web dove nell'80% hanno come Os Linux e si ritorna al mio discorso di prima dove queste injection sono OS sul server indipendenti ) perche' l'antivirus se

sei sicuro? http://www.spywareinfoforum.com/inde...owtopic=128865

io notizie così su apache e linux non ne trovo molte....sembra invece che IIS venga colpito almeno un paio di volte l'anno in questo modo

poi non è vero che l'80% dei web server è linux, visto che sta tra il 50% e il 60%

[pabloski]

Originariamente inviato da Albedro

Linux sanno tutti palesemente che a livello computers causa notevolmente piu' rogne di compatibilita' rispetto a windows..soprattutto sui driver

negare questo e' negare l'evidenza

mmm vox populi vox dei?

ma io ho parlato di quantità di periferiche supportate considerando tutti i settori in cui è usato....tu hai detto che il numero è quello che conta

linux non è che crea problemi, a linux mancano i driver di alcuni produttori e questo è limitato solo ed esclusivamente al mondo pc

sia Firefox che Opera che IE8 oggi come oggi come nel 90% dei casi nn hanno falle citiche di esecuzione codice da remoto aperte con expolit dedicato alla vulnerabilita' in the wild diffuso a piu' non posso....

mmm strano, mpack è stato aggiornato 3 giorni fa

vai su Secunia ed informati

guarda che mica esiste solo secunia e mica tutte le falle sono note

fatti un giro su irc potresti trovare qualche chan interessante

cosa ci interessa se vengono bucati i siti iniettandoli con exploit per i browser non tenuti aggiornati?

rigiri la frittata? i siti web con iis hanno un alto tasso di compromissioni e questo lo si legge nelle news ( 50000 siti infettati, 10000 nuovi siti compromessi, ecc... )

poi ci sono siti che vengono infettati tramite sql injection

poi ci sono molti pc che usano browser non patchati....e poi ci sono exploit per falle non ancora note, ciò nondimeno ti bucano il piccì

oggi come oggi nn esistono browser con falle aperte di remote code execution upnatched e relativo dedicato exploit diffuso sul web a livello critico

appunto, la notizia non è diffusa sul web, ma gli exploit ci sono e vengono venduti

poi anchese fosse ,ovvero se ci fosse del tempo che intercorre tra una falla aperta ed il rilascio della pacth bisogna vedere quanto l'exploit sia in the wild.. ovvero diffuso sui siti web contaminati in alta percentuale

beh a giudicare dal caso di cui stiamo discutendo, ci sarebbero già 30000 pc infettati dall'exploit pubblicato dal tipo di google

cosa che escludi sempre per tua inespserienza di settore

mi sembri tu ad essere alquanto inesperto se ti fidi di antivirus ed exploit pubblici

quindi secondo te ad oggi anche avendo IE8 , flash player ,firefox Java ,Opera ed il sistema operativo aggiornati come mi metto a navigare sul web mi appesto?

se incappi in un sito che sfrutta l'ultima versione di mpack si

partendo dal presupposto che nn e' vero...anche se fosse hai mai sentito parlare di account Standard o Account Limitato cosa con cui tutte le aziende e chi sa' usare i compouters con windows lavorano ?

hai mai sentito parlare di zeus che funziona pure su account limitati?

intanto per quanto riguarda la falla che ha subito google in merito all'attacco cinese , se la stessa google avesse usato IE7 o IE8 non avrebbe avuto l'autoinstallazione del malware sia per la differenza concezione piu' sicura

mica è google ad usare ie6, erano alcuni suoi dipendenti

di questi browser sia perche' proprio grazie a Dep l'expolit su XP nn riusciva ad eseguirsi..tralasciando che Gooigle aveva tutti loggati al sistema sul web con l'account adminsitrator

sistema? quale sistema? che ne sai? lì è semplicemente successo che alcuni dipendenti usavano xp e ie6, sono stati infettati e sui loro pc c'erano dei file con tante belle password in vista che servivano ai tecnici di google

l'antivirus coi computer in mano a palesi inesperti deve essere installato a prescindere come difesa e funge da ultimo strato difensivo .. perche' tu nn sai cosa combina a casa la gente col computer ( di tutto di piu' p2p in primis) .. e le stesse cose le potrebbe combinare con Linux

certo, ma difinirlo una difesa estrema è sbagliato

l'antivirus è solo un modo per tenere a bada i malware di basso livello

nel 90% gli expolit vengonoi iniettati sui web server con Sql injection..negare questo e' negare l'evidenza di chi lavora in questi settori ..se tu dici di farlo e nn ammetti questo vuol dire che neghi l'evidenza

90%? esattamente queste cifre da dove vengono? l'ultimo rapporto di Symantec parlava di 56%

gli 0 day con exploit dedicato diffuso nel web a livello critico nn sono all'ordine di ogni giorno..altrimenti tutto il mondo che naviga con windows ed account amministratore sarebbe appestato ..ovvero ci sarebbero quasi 1.500.000.000 di computer appestati quando cosi' non e'

mmm confondi worm con infezioni via web, ecc....

quegli exploit sono in giro per il web, ma sul mercato nero....è ovvio che la mafia non vende a chiunque ma solo a gente che fa parte del giro

il fatto che non ci siano 1 miliardo di pc infettati forse dipenderà dalla necessità di finire su un sito compromesso per essere infettato? le infezioni drive-by-download mica funzionano come i worm eh!?!

cosa sta accadendo? ci sono per Linux un 1% di software commerciali e professionali come quelli per windows che costano un sacco di euro ?

per linux ci sono svariati software commerciali, cad, grafica 3d, simulazioni, matematica, ecc...

quell'1% è tirato a casaccio? no perchè statistiche ufficiali non ce ne sono

uno che vuole un software professionale crakkato proprio per non pagarlo non lo scarica originale dall'App store ne' dai repository ..i repository nn distribuiscono software warez ..ma dal p2p e nel 90% col trojan nell'installer che si installa assieme al programma crakkato o meglio sono trojan intaller i keygen.exe che l'utente invece crede siano keygen.exe

ovviamente ci vuole una politica dei prezzi aggressiva che invogli la gente a non scaricare roba illegale

quando si dice che la sicurezza è un processo e non un software è proprio questo che s'intende

poi come ho detto, linux è troppo frammentato perchè malware seri possano attecchire...non ci saranno mai rootkit seri per linux, perchè le strutture del kernel sono instabili, la compatibilità dell'abi è un'utopia e le librerie, beh, ognuno c'ha una versione

questo è un altro fattore a favore di linux

poi i pacchetti software per linux sono firmati elettronicamente e quindi puoi sempre verificare l'autenticità del pacchetto....se la gente quando scaricano dal mulo controllasse l'md5 e se i produttori di software fornissero l'md5, allora i malware per windows si abbatterebbe almeno del 50%

vedi, linux ha in place tante cose che contribuiscono ad una maggiore sicurezza....questo significa che linux è invulnerabile? ovviamente no, ma sicuramente è diversi ordini di grandezza più sicuro di windows

ed e' proprio per questo che Linux rogna sull'hardware con ogni sua distro ogni volta diversa infinite volte in piu' rispetto a windows e rompe i maroni alle softwarehouse per questo perche' proprio per questo sovente presenta problemi di compatibilita' totale

no, le incompatibilità esistono a basso livello....i software applicativi non soffrono di nessuna incompatibilità

sono i driver e i software che necessitano di interagire a basso livello con kernel, xorg, ecc... ad avere difficoltà

però questo rende linux più sicuro, perchè pure i malware hanno difficoltà non avendo un ambiente stabile

io la suite Autodesk solo per farti un esempio nn posso compilarla in un modo diverso per ogni distro che gli user usano altrimenti non funziona

e infatti non lo devi fare, devi semplicemente attenerti alle specifiche LSB che servono a creare un userland omogeneo per utenti e sviluppatori

[Mr_Paulus]

Originariamente inviato da pabloski

mmm vox populi vox dei?

ma io ho parlato di quantità di periferiche supportate considerando tutti i settori in cui è usato....tu hai detto che il numero è quello che conta

ma che ragionamento è? si stava parlando di windows xp, quindi mercato soho.
allora dovremmo secondo il tuo ragionamento considerare anche windows mobile, oppure dire che symbian è uno dei s.o. che supporta più terminali?

dai non dire fesserie, se compro un pezzo hardware desktop con win sono sicuro al 99.99% che torvo i drivers, con linux no, è questo che conta, perchè a livello di server la scelta dell'hardware e del sistema perativo vengono fatte insieme, in utrenza home invece capita spesso di cambiare periferiche senza chissà che di pianificazione, e se usi ubuntu & co. ops è probabile che quello che compri non è supportato (vedi il caso delle chiavette usb di cui parlavo prima).

[pabloski]

Originariamente inviato da Albedro

non avendo piu' tempo.. ti lascio il contentino

ovvero lascio a te l'ultima parola della ramanzina

non sto facendo nessuna ramanzina, sto solo mettendo nero su bianco le scelte architetturali di linux che ne fanno un sistema più robusto

non sarà che non hai più cartucce da sparare?

windows fa skifo, Dep, Aslr modalita' protette nn servono a niente ..

mai detto questo....dep e aslr ( la tecnologia che rende possibile il dep peraltro è una funzionalità nata in seno ad AMD quando fu implementato il no execute bit ) sono tecnologie nate per porre un freno a certe tipologie di attacchi ma non a tutti ( questo è impossibile e spero che sia chiaro a tutti )

aslr è implementato attualmente su tutti i maggiori OS

ma si tratta pur sempre di sistemi di protezione raggirabili

Linux e' sicurissimo invece ed e' a prova di cassaforte anche per l'utenza Home che clicca su si e da' diritti a tutto ..

non ho mai detto nemmeno questo e anzi mi pare di aver specificato che linux NON E' invulnerabile

ora chiamo la Deutche Bank che usa Windows XP sotto dominio e relative policy dove il malware mai e poi mai si e' visto ( e mai l'ho visto pure io navigando at Home solo con software tenuti aggiornati col loro sistema di autoupdate e non scaricando ed installando volontariamente nessuna schifezza dal p2p ma solo da siti ufficiali ) ..e gli dico subito di passare ad Ubuntu

guarda che la sicurezza è un processo e quindi ci possono essere tante e tali restrizioni e controlli in azione, nel caso citato, per cui il sistema risulta protetto

sinceramente la tua ultima uscita mi pare la classica sparata del ragazzino fanboy spocchioso che vuole affermare l'invulnerabilità di windows....il primo passo sarà postare le stats di netapplications per sostenere questa tesi?

io cerco sempre di non fare guerre di religione e di essere obiettivo....ho parlato ad esempio di repository relativamente alla sicurezza e guarda caso pochi giorni fa, è uscita la notizia che windows 8 supporterà, udite udite, un appstore ovvero i repository

evidentemente pure a Redmond pensano che i repository garantiscano un ulteriore livello di sicurezza

come vedi non sono io a promuovere guerre di religione o sparare alla croce rossa, ma piuttosto tu che, appena iscritto, hai cominciato a silurare tutti quelli che fanno notare alcuni difetti di windows

spero tu non appartenga a quella schiera di fanboy windows, di cui spesso ho parlato pure qui, il cui unico scopo è far passare l'idea linux=cacca, windows=Dio

[pabloski]

Originariamente inviato da Mr_Paulus

ma che ragionamento è? si stava parlando di windows xp, quindi mercato soho.

no, io e l'amico sopra stavamo parlando in generale di windows

poi xp è usato pure in sistemi embedded, non pensare che sia limitato solo a scrivere letterine con word

allora dovremmo secondo il tuo ragionamento considerare anche windows mobile, oppure dire che symbian è uno dei s.o. che supporta più terminali?

se vuoi puoi metterci windows mobile, ce, ecc.... del resto il ragionamento era windows vs linux non windows xp vs linux

dai non dire fesserie, se compro un pezzo hardware desktop con win sono sicuro al 99.99% che torvo i drivers, con linux no, è questo che conta, perchè a livello di server la scelta dell'hardware e del sistema perativo vengono fatte insieme,

se parli di server allora permettimi di smentirti....linux trova difficoltà sul fronte desktop non certo su quello server, dove è pienamente supportato da tutti i grandi player

poi non sto dicendo che non ci siano periferiche che non vanno con linux, sto solo dicendo che si vuol far passar l'idea che se installi linux il pc sarà inutilizzabile, cosa assolutamente non vera

in utrenza home invece capita spesso di cambiare periferiche senza chissà che di pianificazione, e se usi ubuntu & co. ops è probabile che quello che compri non è supportato (vedi il caso delle chiavette usb di cui parlavo prima).

guarda, sinceramente il probabile lo userei nel senso opposto, ovvero "probabile che sia supportato"

io non ho statistiche in merito, ma proprio se parli di chiavette wifi allora posso dirti che i 4 maggiori produttori di chipset wifi hanno driver open per linux

http://intellinuxwireless.org/
http://www.broadcom.com/support/802.11/linux_sta.php
http://ralinktech.com/ralink/Home/Support/Linux.html
http://partner.atheros.com/Drivers.aspx

e per chi ha problemi c'è sempre mad wifi

personalmente ho posseduto 4 chiavette wifi ( ralink, atheros ), 2 notebook con wifi intel, 2 schede wifi pc broadcom e non ho mai avuto nessun tipo di problema....sarò fortunato? o è che magari il problema è molto più circoscritto di quel che si dice?

inoltre da almeno 2 anni il pinguino lo trovi disegnato sulla confezione ( se la periferica è supportata ), quindi non penso che per l'utente home sia un così grosso problema

[pabloski]

Originariamente inviato da Albedro

Se non ti sei accorto io credo che il fanboy linux che entra in una notizia su windows per far polemica in paragone a linux sei tu.

allora ti sei fatto un'idea totalmente sbagliata

Non ti sei accorto che hai evidenziato rispondendo a piu' utenti che conoscono windows come le loro tasche che quello non e' vero.. che l'account Limitato e' violabile ( certo che e' violabile da un worm che arriva

mmm non so se sono io a scrivere in maniera comprensibile....non è detto che è violabile, ho detto che ci sono spyware che possono girare anche sotto un account limitato

da una chiavetta Usb su sistema XP con Autorun non disabilitato ...violabile con dei brute force se mi metti una password sull'account Administrator da 4 stupidissime lettere invece che una complessa alfanumerica come deve essere ..e vale idem con patate anche su Linux e tutti i sistemi

si potrebbe benissimo trovare un bug che consente la privilege esclation e in quel caso l'account sarebbe davvero violabile

del resto sotto linux da decenni si fa così

che ha finalita' malevole ) che l'antivirus non serve a niente ( semmai era da dire c'e' antivirus piu' efficace sulle detection ed antivirus meno efficace.. e nel 90% chi incappa in un malware polimorfico come hai scritto

no, l'antivirus non serve a niente contro malware di alto profilo come limbo, zeus, ecc.......

ti ho parlato di codici polimorfici, e se fai questo mestiere sai di cosa parlo, e di come rendono inefficaci i sistemi signature based

e' solo chi scarica ed installa tutto il giorno boiate contaminate dal file sharing oggi veicolo N1 per la diffusione del malware

ma non è vero, ci sono tanti exploit che sfruttano buchi nei browser, nei pdf, in flash e nei servizi di sistema

quando si parla di iis bucato, non parliamo certo di un tizio che s'è seduto al server e ha scaricato trojan

lo vedi che pian piano stai affermando che windows è invulnerabile? fattene una ragione, nessun software è inviolabile

..in questo caso si e' nel 99% piu' a rischio..ma tu nn lo hai specificato, hai solo denotato le pecche che fanno piacere senza dire i perche' )

ma infatti io stavo discutendo di questo caso specifico che non è certo legato all'installazione di warez

la vulnerabilità scoperta da google è sfruttabile da remoto

insomma sei venuto fuori con tanti proclami stile pontificazione come a voler dire che tutto e fallace come se fossimo tutti impestati usanso windows ..

tutto è fallato nel campo del software ed è un'assioma fondamentale....ovvero, il software bug free non esiste...penso che questa debba essere un credo per tutti i programmatori

non sto nemmeno dicendo che tutti i windows sono infettati, sto solo dicendo che windows presenta vulnerabilità come gli altri sistemi, che però windows per via di certe scelte tecniche e politiche è maggiormente esposto

ho evidenziato il fatto che la frammentazione di linux è una protezione contro i rootkit e questo è un fatto...non vedo perchè dovrei essere etichettato fanboy per questo motivo

e bada, non sono stato io ad introdurre la guerra linux-windows in questo thread....però visto che ci siamo, giusto nell'interesse della scienza, si discute e ovviamente si confronta

come scritto in un mio primo post in tua risposta nn e' che c'e' o non c'e' ....e' quanto c'e' e che cosa

chiariamo....

se parliamo di windows e linux in ambiente soho, windows ha più supporto hardware

se parliamo di windows e linux in generale, linux ha più supporto hardware

questo se vogliamo parlare di numeri

se parliamo, sempre di ambiente soho, i drivers per windows sono migliori per ovvie ragioni commerciali legate allo share

nel complesso, però, la situazione di linux sta migliorando da circa 2 anni a ritmi esponenziali e infatti citavo l'esempio dei 4 grandi del wifi, così come posso affermare senza essere smentito che i grandi 3 della grafica supportano linux

c'è hardware che è supportato su windows e non su linux? certo....è questo un motivo per non adattare linux? imho no, perchè la situazione allo stato attuale consente già di comprare hardware ( sicuri che funzionerà con linux ) in maniera discretamente spensierata....ci sono degli intoppi ma sono rari e non sono la regola

se domani come distro Linux si diffondesse solo Ubuntu e tutti gli inesperti usassero Ubuntu a casa vorrei vedere se i malware-writer hanno difficolta' a sviluppare un software malevolo solo per Ubuntu perche' e' il piu' diffuso (lasciando perdere tutte le altre distro Linux che cambiano il kernel..parliamo di solo Ubuntu che prende piede nell'utenza inesperta

appunto, SOLO PER UBUNTU....

ed è per questo motivo che, noi linari, non vogliamo che linux diventi un nuovo windows, ovvero un sistema appiattito su un'unica distribuzione, che cambia ad ogni morte di Papa, dove i rootkit girano da windows 2000 fino a 7

con i se e con i ma non si dimostra nulla....

se linux non avesse i repository certo che sarebbe più esposto, ma i repository ci sono....se ubuntu fosse l'unico linux, certo che sarebbe più esposto....ma ubuntu è ben lontano da diventare l'unico

penso che bisogna giudicare i fatti attuali non le eventuali possibilità esistenti in mondi paralleli

totale informatica @ Home) , diffondendolo negli installer .rpm o tar.gz di software professionali crakkati per Ubuntu sul circuito p2p che la gente a casa vuole scaricare anche solo per sentito dire il nome (come Photoshop,

dipende....la firma digitale sarebbe comunque un problema da superare....

come ho detto, se i produttori di software windows mettessero gli md5 sui loro siti web, ci risparmieremmo un sacco di infezioni...purtroppo non è così, ms non vuole questo, i produttori di software nemmeno....su linux questo c'è, su windows no

vedrei che tutti dicono: io su Ubuntu ? non ho nessun trojan ...ed invece lo hanno

si ma tutto questo se non esistessero pacchetti firmati, i repository, tutto il software open presente sui repository, le millemila versioni di librerie e kernel, le millemila distribuzioni, ecc....

una situazione come quella che hai prospettato non sarà mai possibile

[WarDuck]

Originariamente inviato da pabloski

non direi, mr-paul per esempio dice che ms non è tenuta a supportare xp

Se volesse Microsoft potrebbe cessare il supporto domani stesso, ovviamente sarebbe stupido per ovvi motivi di immagine.

Originariamente inviato da pabloski

vista e 7 hanno malware come xp

non so come ti sia venuta l'idea che questi due sono invulnerabili....prima si è parlato di trojan, quelli funzionano pure su 7

ma ci sono l'infector che usano le vulnerabilità di adobe reader ad esempio

credere che basti uac per creare un os invulnerabile è da pazzi

Credevo stessimo parlando di bug del sistema operativo

Te confondi bug del sistema operativo (ovvero le famose vulnerabilità) con applicazioni dannose che possono essere lanciate a prescindere da qualsiasi bug nel sistema.

Vista e 7 hanno molte meno vulnerabilità, e anche il livello di criticità è inferiore rispetto a XP.

Originariamente inviato da pabloski

riguardo le patch, non basterebbero 4 miliardi di anni per verificare la mancanza di ulteriori vulnerabilità nelle patch....infatti a volte ms ha rilasciato patch che a loro volta aprivano altri buchi

Basta esserne convinti.

Originariamente inviato da pabloski

ms è stata avvisata con 5 giorni di anticipo ed è pratica standard pubblicare l'exploit dopo 5 giorni....fanno tutti così

Ma anche no.

Originariamente inviato da pabloski

certo, google ha interesse a ridicolizzare ms, ciò non toglie che l'ingegnere di google ha agito come fanno tutti gli altri ricercatori di vulnerabilità

Non mi risulta affatto che pubblicare un exploit FUNZIONANTE sia prassi comune.

Originariamente inviato da pabloski

veramente, che io sappia, la formal verification è un campo in cui ci sono ancora molte incertezze e infatti solo due OS ( L4 e Integrity ) sono formalmente verificati...gli altri continuano a scrivere software come si è sempre fatto, anche software mission-critical

Che è un campo sperimentale è indubbio, fatto sta che è l'unico modo SICURO per testare che il software che ho scritto faccia effettivamente quello che c'è scritto nella specifica.

Originariamente inviato da pabloski

ciò non implica il decadere della responsabilità del produttore....il fatto di produrre sistemi di sicurezza difettosi, ad esempio, è una grave mancanza anche se il difetto è usato da un terzo per entrare in casa tua e rubare

il punto è che l'industria del software non ha responsabilità civili ( se mi svuotano il conto in banca tramite uno spyware installato con un pdf maligno tu, adobe, mi devi risarcire ), cosa che invece vale in tutti gli altri settori

Gran parte degli utenti non usa correttamente il PC (che è un mezzo come un altro). E non basta cambiare sistema operativo, perché ad esempio il phishing prescinde dalla piattaforma.

Nel momento in cui usi in maniera errata uno strumento, la responsabilità non può ricadere tutta su chi l'ha creato.

E' il caso di Google Video, condannata da un tribunale italiano per un video pubblicato da un utente.

L'uso improprio di un servizio non può ricadere totalmente su coloro che offrono quel servizio.

Originariamente inviato da pabloski

esistono testbed pure per il software ed inoltre la complessità di un circuito elettronico è molto più elevata di un software

un software non ha a che fare con le bizze della fisica, i cambiamenti di stato del materiale, le fluttuazioni nelle proprietà elettroniche indotte dalle variabili ambientali, ecc...

Sulla questione della complessità hai le idee poco chiare, dato che ad esempio nel caso dei sistemi operativi parliamo di molte decine di milioni di righe di codice.

Il software gira comunque su dell'hardware e quindi riflette anch'esso lo stato dell'hardware.

Basta un bit errato per causare problemi e far saltare tutto.

Originariamente inviato da pabloski

il fatto che esistano librerie di circuiti logici ( del resto esistono pure librerie di funzioni software ) non implica che progettare un microprocessore sia semplici dal punto di vista del garantirne il funzionamento

i test sui circuiti si fanno come quelli sul software, ovvero si fa girare il circuito in varie condizioni e si vede se ha problemi o meno

Sai benissimo che se applichi una certa tensione, magari in un certo punto ci possono essere dei danni, così come qualunque programmatore sa benissimo che non prestando attenzione ad esempio nella gestione della memoria si possono provocare dei danni.

Il punto è quando questo viene fatto INTENZIONALMENTE con l'idea di fare un danno.

Anche qui, è un uso improprio, per cui non è così facile stabilire le responsabilità.

Poi è chiaro che ci sono strumenti in grado di limitare molto i danni, ad esempio potresti scegliere di affidarti ad un linguaggio di programmazione che si occupi della gestione della memoria in maniera migliore di quanto farebbe un programmatore. Il rovescio della medaglia tuttavia potrebbe essere una certa perdita di prestazioni, ma questo fa parte della famosa arte del compromesso che da sempre c'è in ingegneria.

Originariamente inviato da pabloski

il software non ne ha bisogno, perchè la simulazione è far girare il software stesso in condizioni controllate

Le condizioni controllate non prevedono comunque un range di input infinito.

Inoltre la tua piattaforma di test è per ovvi motivi limitata, dato che il software può girare su:

- processori diversi
- hardware diverso
- sistema operativo diverso
- condizioni al contorno diverse

Se tu dici che il tuo hardware funziona da 0° a 80° io mi aspetto che funzioni in quell'intervallo di temperatura in qualunque posto del globo mi trovi che abbia quelle temperature, perché se l'hai testato in quelle condizioni e non mi dai altre indicazioni, mi aspetto che funzioni.

Condizioni che sono per altro ripetibili, spesso invece la difficoltà nel test del software è che alcuni bug insidiosi si presentano solo in determinate situazioni.

Originariamente inviato da pabloski

non parlo di guasti hardware, parlo di errori di progettazione dell'hardware e quelli si fixano pure loro

Si fixano in che modo sentiamo, ti prendono il circuito e te lo modificano mettendoci una toppa e ridandotelo oppure ne fanno una versione con le modifiche apportate e lo rimettono in produzione così modificato (quindi di fatto costituendo un "nuovo prodotto")?

Il che equivarrebbe a riscrivere un pezzo di codice da 0?

Originariamente inviato da pabloski

come vedi l'ingegneria usa sempre gli stessi metodi sia che si tratti di costruire case che programmi

L'ingegneria del software è una disciplina relativamente giovane, al contrario di tutte le altre, per cui di sicuro può sempre migliorare col tempo.

Tuttavia i prodotti che vengono realizzati sono diversi ed è diverso anche l'approccio che si usa, e anche le condizioni in cui vengono usati possono essere diversi.

Alcuni paragoni non hanno senso semplicemente perché sono prodotti diversi che rispondono a dinamiche diverse.

Originariamente inviato da pabloski

l'hardware non è estendibile? e perchè mai? i vari SoC ARM insegnano il contrario

La maggior parte non lo è (parlo anche dell'elettrodomestico comune), e comunque non è estendibile dall'utente a piacimento, ma sempre in un range finito di componenti.

Originariamente inviato da pabloski

appunto, viene garantito per funzionare entro certi parametri, che mai vengono rispettati nel caso del software

E questo da chi dipende?

Originariamente inviato da pabloski

avere un buco in un servizio del sistema operativo che permette l'installazione di malware è un vizio di progettazione e come tale a carico del produttore....credi che altrimenti fornirebbero le patch?

Mica è detto che sia un problema di progettazione, potrebbe essere semplicemente un errore di implementazione (come spesso capita nel software).

Tra l'altro malware e trojan possono benissimo essere installati senza che esistano dei bug nel sistema operativo, e questo vale in generale per tutti i SO.

Originariamente inviato da pabloski

mmm Ballmer lo ha definito un errore, vedi tu

veramente io, all'epoca, ho letto un sacco di commenti negativi....fu un esperimento a porte chiuse, dove non era chiaro quale hardware fosse stato usato, chi fossero i partecipanti, nessuna fonte indipendente potè intervistare i partecipanti

Originariamente inviato da pabloski

fu ampiamente criticato da tutta la stampa specializzata e rapidamente affossato, tanto che Ballmer alla fine sostenne che vista era in realtà un work in progress, lasciando intendere che 7 era la versione finale di vista

Vista ha avuto un parto travagliato, doveva uscire nel 2004 ma poi ci sono stati dei problemi con il team di sviluppo e hanno dovuto ricominciare quasi da 0.

Sicuramente l'ambiente di lavoro non è stato dei migliori in quel periodo... non c'era bisogno che Ballmer dicesse nulla comunque, perché quando cambi capo progetto passando la palla a Sinofsky (che ha fatto un ottimo lavoro con Office 2007) stai già dando un messaggio.

Comunque da molti 7 è considerato un Vista SP3, solo che non avendo quel nome sta battendo ogni record di vendita .

Originariamente inviato da pabloski

pure per la FIAT è costoso offrirti assistenza, ma i contratti esistono e gli obblighi pure....ms non ti fa certo un favore

Si ma lo fa per un numero limitato di anni, dopodiché se ti si rompe un componente paghi.

C'è invece chi vorrebbe per il software supporto infinito, non si sa bene per quale motivo .

[pabloski]

Originariamente inviato da Albedro

chi prende software professionali crakkati e' perche non li vuole pagare... nn esite nessun repository e nessuna firma Md5 per i pachetti installer di warez che hanno nel 90% il trojan assieme nel loro installer .. e la stessa cosa sarebbe se tutti i software professionali crakkati che ci sono per windows esistessero per Ubuntu prendendoli l'utenza domestica solo ed eslcusivamente dal p2p ..nessun repository e nessun Md5 delle favole per i crack .. per non pagare ( la cosa oggi piu' diffusa nell'utenza home )

no, se chi crea il software distribuisse gli md5, allora l'utente dopo aver scaricato dal mulo verificherebbe l'md5 del file scaricato e notando la differenza non lo installerebbe

è questo che i pacchetti rpm e deb fanno

quindi per concludere la tua presunta sicurezza su Linux e' solo perche' Ubuntu nn e' diffuso come distro Linux principale nell'utenza Home e quindi nessuno ci si mette a perder tempo sia nel compilare software malevolo che programmi professionali costosi coi crak ed il trojan...nn per questo speri che Ubuntu mai diventi il windows nel 2010 ..solo per evitarne la diffusione di massa e salvare il kiulo solo cosi' a questa distro

no, stai facendo un pò di confusione....non è che ubuntu è sicura perchè nessuno ci perde tempo

ho detto più volte che linux sui server è conveniente da bucare ( tu stesso hai detto alcuni post più su che ha un market share ragguardevole sui web server )....

il punto è che ubuntu non è l'unica e pertanto ci sono differenze a livello di librerie, di versioni delle librerie, di meccanismi di protezione ( chi usa apparmor, chi usa selinux, ecc... )

tutto queste differenze rendono molto difficile creare un malware che scrivi una volta e fai girare da windows 2000 fino a 7

windows invece permette tutto questo

quindi per questo Ubuntu e' piu' sicuro? ....stando a cio' che scrivi significa che qualsiasi sistema operativo non e' affidabile al 100% ..e questo e' ovvio ..ma per diventare sicuro al 99,9% un Os deve avere un mercato sotto l'1% per nn destare interesse di nessuno

come ho detto non è questione di interesse ma di difficoltà pratica nel realizzare malware

se io scrivo un malware e spendo 30000€, voglio incassarne più di 30000....linux non me lo permette, perchè è troppo frammentato

questa sarebbe la soluzione alla sicurezza che tanto vanti ?

piu' che altro a me questa sembra una conclusione di comodo ..da barzelletta

solo perchè l'hai letta a modo tuo

ripeto....non ho mai detto che linux è sicuro perchè la gente non se ne interessa ( questo lo stai dicendo tu )....

linux è più sicuro perchè è troppo complicato scrivere malware che funzioni su tutti i linux che ci sono in circolazione in maniera robusta

[Bastian_Contrario]

Originariamente inviato da Albedro

basta si diffonda una sola distro Linux nell'utenza home : Ubuntu

oddio speriamo di no...la distro più pesante

[pabloski]

Originariamente inviato da WarDuck

Se volesse Microsoft potrebbe cessare il supporto domani stesso, ovviamente sarebbe stupido per ovvi motivi di immagine.

non ho approfondito....se però ha esteso il supporto fino al 2014 suppongo che abbia esteso purei contratti di supporto, quindi è un vincolo legale non una buona azione da buon samaritano

se hanno ufficializzato la cosa, sono costretti per legge

Credevo stessimo parlando di bug del sistema operativo

ci sono anche quelli....ti ricordi la storia del 7% contro il 57%?

già allora spiegai il perchè windows è intrinsecamente meno sicuro....avere un 57% di vulnerabilità che implica esecuzione di codice da remoto è un bel colpo

Te confondi bug del sistema operativo (ovvero le famose vulnerabilità) con applicazioni dannose che possono essere lanciate a prescindere da qualsiasi bug nel sistema.

dovresti considerare che un sistema operativo non è il solo kernel

parlando di linux, si gridò allo scandalo quando uscì la notizia del problema di openssh...dunque quello per te non è un bug riguardante linux?

Vista e 7 hanno molte meno vulnerabilità, e anche il livello di criticità è inferiore rispetto a XP.

non direi....

devo ricordarti questo? http://secunia.com/advisories/produc...tatistics_2010

extremely critical: 57%

e no, non sto parlando di quanti bug critici ci sono adesso nel codice, però il trend è poco edificante

Basta esserne convinti.

hai citato l'ingegneria del software, dovresti sapere qual'è il suo assioma fondamentale

Ma anche no.

no veramente fanno proprio tutti così...

Non mi risulta affatto che pubblicare un exploit FUNZIONANTE sia prassi comune.

quindi questi che sono?

http://www.exploit-db.com/
http://milw0rm.com/
http://inj3ct0r.com/

va bene difendere windows ma cerchiamo di essere un minimo obiettivi

Che è un campo sperimentale è indubbio, fatto sta che è l'unico modo SICURO per testare che il software che ho scritto faccia effettivamente quello che c'è scritto nella specifica.

si ma è un metodo di difficilissima applicazione ed è limitato solo a software che svolgono attività specifica e limitate

è impossibile da usare per testare il software che normalmente usiamo

Gran parte degli utenti non usa correttamente il PC (che è un mezzo come un altro). E non basta cambiare sistema operativo, perché ad esempio il phishing prescinde dalla piattaforma.

certo, ma rimane il fatto che linux ti protegge contro cose che su windows ti portano a capitolare

Nel momento in cui usi in maniera errata uno strumento, la responsabilità non può ricadere tutta su chi l'ha creato.

quando però uno usa lo strumento per gli scopi per cui è stato creato, la responsabilità è di chi l'ha creato

altrimenti non vedo perchè in certi ambiti si parla di certificazioni, controlli, verifica delle specifiche, ecc....

E' il caso di Google Video, condannata da un tribunale italiano per un video pubblicato da un utente.

non vedo il nesso tra windows e google video

google video ti dà la possibilità di pubblicare dei video e in quel caso gli utenti ne hanno abusato

con windows stai semplicemente navigando, incappi in un sito infetto e viene infettato....mi sembrano due fattispecie profondamente differenti

Sulla questione della complessità hai le idee poco chiare, dato che ad esempio nel caso dei sistemi operativi parliamo di molte decine di milioni di righe di codice.

dovresti vedere i listati vhdl di un banale microcontrollore allora

non so se hai mai progettato hardware, ma credimi, il software a confronto è un gioco da ragazzi

Sai benissimo che se applichi una certa tensione, magari in un certo punto ci possono essere dei danni, così come qualunque programmatore sa benissimo che non prestando attenzione ad esempio nella gestione della memoria si possono provocare dei danni.

magari fosse così determistico il testing....ci sono variabili che a volte compaiono in determinate condizioni, come il caso dell'isteresi, divenuta un problema con la miniaturizzazione

Il punto è quando questo viene fatto INTENZIONALMENTE con l'idea di fare un danno.

no in quel caso si finisce proprio sul penale

se tu produci un bene e aggiungi un difetto apposta passi un guaio gigante....se produci un bene e lo vendi difettato perchè hai fatto male i tuoi calcoli sei comunque civilmente responsabile

Le condizioni controllate non prevedono comunque un range di input infinito.

infatti è quello il problema per cui il software è buggato

con l'hardware, a volte, certe variabili si presentano anche se tu non vuoi....almeno col software puoi limitare questa possibilità

Inoltre la tua piattaforma di test è per ovvi motivi limitata, dato che il software può girare su:

- processori diversi
- hardware diverso
- sistema operativo diverso
- condizioni al contorno diverse

ovviamente si testa su più configurazioni possibile

Se tu dici che il tuo hardware funziona da 0° a 80° io mi aspetto che funzioni in quell'intervallo di temperatura in qualunque posto del globo mi trovi che abbia quelle temperature, perché se l'hai testato in quelle condizioni e non mi dai altre indicazioni, mi aspetto che funzioni.

si ma che un circuito logico in certe condizioni di lavoro può andare in blocco, questo è difficile da prevedere proprio come succede col software

Condizioni che sono per altro ripetibili, spesso invece la difficoltà nel test del software è che alcuni bug insidiosi si presentano solo in determinate situazioni.

le condizioni logiche di un micro non sono così facilmente ripetibili...è come fare il debug ma ad un livello molto più basso

Si fixano in che modo sentiamo, ti prendono il circuito e te lo modificano mettendoci una toppa e ridandotelo oppure ne fanno una versione con le modifiche apportate e lo rimettono in produzione così modificato (quindi di fatto costituendo un "nuovo prodotto")?

mai sentito parlare di stepping, workaround, aggiornamenti del microcodice?

ragazzi ma che è oggi, capisco che fa caldo, ma avete proprio svuotato il cervello

L'ingegneria del software è una disciplina relativamente giovane, al contrario di tutte le altre, per cui di sicuro può sempre migliorare col tempo.

pure le altre possono migliorare....la fibra di carbonio è recente ad esempio

Tuttavia i prodotti che vengono realizzati sono diversi ed è diverso anche l'approccio che si usa, e anche le condizioni in cui vengono usati possono essere diversi.

e infatti l'hardware presenta più problemi di progettazione del software

La maggior parte non lo è (parlo anche dell'elettrodomestico comune), e comunque non è estendibile dall'utente a piacimento, ma sempre in un range finito di componenti.

mmm sei convinto? guarda che è possibile prendere un aspirapolvere, cambiargli i circuiti d'alimentazione e renderlo più potente

E questo da chi dipende?

dipende dall'incapacità dell'ingegneria del software nel creare modelli matematici efficaci per simulare il software

di certo non è colpa dell'utente che si limita solo a doppiocliccare

Mica è detto che sia un problema di progettazione, potrebbe essere semplicemente un errore di implementazione (come spesso capita nel software).

certo....o c'è un errore architetturale o c'è un errore implementativo...altre possibilità non ci sono

Tra l'altro malware e trojan possono benissimo essere installati senza che esistano dei bug nel sistema operativo, e questo vale in generale per tutti i SO.

beh se li installi volontariamente è ovvio

la robustezza sta proprio nell'impedire che possano autoinstallarsi con facilità o installarsi fingendosi programmi innocui

i famosi repository contro i trojan, varie tecniche di programmazione contro i worm

Vista ha avuto un parto travagliato, doveva uscire nel 2004 ma poi ci sono stati dei problemi con il team di sviluppo e hanno dovuto ricominciare quasi da 0.

beh vuol dire che a Redmond dovrebbe cambiare management

Sicuramente l'ambiente di lavoro non è stato dei migliori in quel periodo... non c'era bisogno che Ballmer dicesse nulla comunque, perché quando cambi capo progetto passando la palla a Sinofsky (che ha fatto un ottimo lavoro con Office 2007) stai già dando un messaggio.

quindi Mojave fu proprio una truffa?

Comunque da molti 7 è considerato un Vista SP3, solo che non avendo quel nome sta battendo ogni record di vendita .

certo, ma la differenza non sta solo nel nome ma anche, evidentemente, nelle ottimizzazioni e nei cambiamenti ( alcuni radicali )

Si ma lo fa per un numero limitato di anni, dopodiché se ti si rompe un componente paghi.

questo è ovvio,

C'è invece chi vorrebbe per il software supporto infinito, non si sa bene per quale motivo .

questo è assurdo e credo non siano molti

del resto, almeno le risposte che ho letto qui, erano tutte del tipo "ms non ti fa un favore a patcharti xp"

come vedi il punto non è che si vuole supporto all'infinito, ma almeno entro i termini da loro stessi stabiliti

poi è ovvio che c'è una parte di utenza che è frustrata, perchè nonostante la famosa xp mode è costretta ad usare ancora xp....questi utenti, moltissimi aziendali, sono preoccupati da una perdita di supporto

questo però succede quando ci si lega a software proprietario che non vuole saperne di usare formati aperti e mi riferisco sia a ms che ai vari gestionali closed source che non vengono aggiornati

[pabloski]

Originariamente inviato da Albedro

Il malware nn deve funzionare su tutte le miriadi di distro Linux come ti ho gia' scritto 3 volte

ubuntu non rappresenta il 70% o più dello share e mai lo rappresenterà

creare un malware per ubuntu non serve ad un tubo se poi ci sono altrettanto distribuzione che hanno uno share decente

riguardo le patch, linux già oggi è diffusissimo in settori critici e le vulnerabilità vengono trovate, anzi vengono trovate più velocemente di windows che è closed source....

insomma, siamo partiti da "linux non lo attaccano perchè è poco diffuso" e siamo arrivati a "i bug non si trovano perchè linux è poco diffuso"

queste sono leggende metropolitane pure e semplici.....vai a guardare quanti bug vengono trovati sui kernel di windows e linux e noterai che per linux esistono una sfilza di vulnerabilità trovate

la sicurezza di linux non dipende dal suo share ma dai vari meccanismi a contorno

basta si diffonda una sola distro Linux nell'utenza home : Ubuntu

il che è impossibile.... e poi avremmo chi usa ubuntu 8.10, chi la 10.4, chi quella customizzata, chi ha ricompilato il kernel per fatti suoi, chi sta provando l'ultimissima versione delle libc

linux è frammentato e questa frammentazione esiste sia tra le varie distribuzioni che all'interno di una stessa distribuzione...

se cio' nn avviene e' perche' nn c'e' interesse di nulla causa la pochissima percentuale di utilizzo di questa distro ( anche se la piu' usata tra le distro Linux) , nemmeno del maware iniettato negli installer in eventuali programmi professioanali piratati per Ubuntu raccattabili solo dal p2p ..essendocene uno spunto per Ubuntu a differenza di Windows

si ma rimane il programma delle firme digitali da superare

quindi perche' continui sempre cosi' l'ambarada' prega che Ubuntu e Linux rimanga sempre la nicchia della nicchia

non continuo un bel niente, cerco di spiegarti i metodi che linux usa per prevenire le infezioni e tu fai finta di non sentire/capire

auspichi un mondo parallelo dove linux=ubuntu, ognuno ha il kernel stock, ognuno ha gli stessi servizi installati....quel mondo esiste ma si chiama windows non linux

lo sai come si sta diffondendo linux? fette di mercato divise tra novell con sled, ubuntu, rhel di redhat, mandriva, alcune occupate da slackware e gentoo

come fai a dire a tutta questa gente: "ragazzi da oggi si usa solo ubuntu"....ecco perchè il mondo che immagini dove c'è solo ubuntu è impossibile

basta che si diffonda Ubuntu e poi o con la tecnica del social engineering o con le stesse tecniche di falle di sistema ( perche' Ubuntu ha falle come tutti

questo pezzo non l'ho proprio capito

il social engineering non c'entra un tubo con l'infettare un sistema da remoto

cosa intendi per tecniche di falle di sistema? non so, mi pare di aver detto che i problemi di frammentazione dell'api del kernel creano problemi ai rootkit

quindi pure se sfrutti un certo bug per entrare, poi puoi non trovare in memoria quella certa struttura dati che dovevi modificare per svolgere le tue funzioni

caro amico, mi sa che hai le idee un bel pò confuse circa il funzionamento dei sistemi operativi e del software in generale....scusa eh, ma dall'ultima frase mi ha perso di capire proprio questo

[WarDuck]

Originariamente inviato da pabloski

non ho approfondito....se però ha esteso il supporto fino al 2014 suppongo che abbia esteso purei contratti di supporto, quindi è un vincolo legale non una buona azione da buon samaritano

se hanno ufficializzato la cosa, sono costretti per legge

XP riceverà patch di sicurezza fino al 2014, non credo Microsoft sia vincolata verso qualcuno in particolare per questo, in ogni caso non vedo il problema, il supporto è stato esteso, AMEN.

Originariamente inviato da pabloski

ci sono anche quelli....ti ricordi la storia del 7% contro il 57%?

già allora spiegai il perchè windows è intrinsecamente meno sicuro....avere un 57% di vulnerabilità che implica esecuzione di codice da remoto è un bel colpo

Mi ricordo che cercavi di arrampicarti sugli specchi, addirittura negando l'evidenza sul fatto che Vista e 7 erano più sicuri di XP, spostando la questione verso altri prodotti come SQL Server o IIS, salvo dimostrarti anche in quel caso che non erano vulnerabili come sostenevi.

Originariamente inviato da pabloski

dovresti considerare che un sistema operativo non è il solo kernel

Infatti non ho parlato di kernel, ma di sistema operativo.

Windows 7 ha una serie di componenti integrati, se è fallato un suo componente allora si può dire che Windows 7 ha una falla.

Ma per l'esecuzione di un malware o di un trojan non c'è bisogno che ci sia una falla nel sistema operativo.

Al massimo la falla può essere il tramite o un malware può appoggiarsi a quella falla per i suoi scopi.

Ma è bene precisare che malware e trojan sono delle applicazioni che non necessariamente dipendono da una falla del SO.

Originariamente inviato da pabloski

parlando di linux, si gridò allo scandalo quando uscì la notizia del problema di openssh...dunque quello per te non è un bug riguardante linux?

Spesso per Linux si intendono le distribuzioni GNU/Linux, quindi occorre precisare bene di cosa stiamo parlando.

Per quanto mi riguarda ogni distribuzione fa storia a se, certo se openssh è installato nella maggior parte delle distribuzioni oppure è una dipendenza di pacchetti "primari" (come può essere Xorg, KDE o Gnome), allora è un problema per molte distro e quindi si può dire che è un problema di GNU/Linux.

Originariamente inviato da pabloski

non direi....

devo ricordarti questo? http://secunia.com/advisories/produc...tatistics_2010

extremely critical: 57%

e no, non sto parlando di quanti bug critici ci sono adesso nel codice, però il trend è poco edificante

Tralasciando il fatto che:

Extremely critical: 0%
Highly critical: 57%

Le vulnerabilità patchate sono tali, nel momento in cui vengono patchate non costituiscono più una vulnerabilità per il sistema (aggiornato).

Originariamente inviato da pabloski

hai citato l'ingegneria del software, dovresti sapere qual'è il suo assioma fondamentale

Non mi riferivo al fatto che modificare un codice porta ad introdurre potenzialmente altri bug, quanto alla tua convinzione che neanche tra 4 miliardi di anni fanno la patch.

Originariamente inviato da pabloski

no veramente fanno proprio tutti così...

Ho i Norton DNS che mi hanno bloccato l'accesso a quei siti, perché evidentemente contengono malware, ti invito a togliere i link e comunque non dimostrano nulla, solo che esistono siti che collezionano questi exploit.

Originariamente inviato da pabloski

va bene difendere windows ma cerchiamo di essere un minimo obiettivi

Io difendo l'obiettività ed è proprio per questo che te caschi male con me.

Originariamente inviato da pabloski

si ma è un metodo di difficilissima applicazione ed è limitato solo a software che svolgono attività specifica e limitate

è impossibile da usare per testare il software che normalmente usiamo

Ma come l'hardware non era più complesso del software?

Ripeto quello è L'UNICO MODO SICURO per testare il software, non ce ne sono altri che ti garantiscono la stessa affidabilità.

Originariamente inviato da pabloski

certo, ma rimane il fatto che linux ti protegge contro cose che su windows ti portano a capitolare

Anche qui, basta esserne convinti.

Intanto dalle truffe come il phishing (che rappresenta una se non forse la maggior fonte di guadagno per i cyber-criminali) non ti protegge.

Originariamente inviato da pabloski

quando però uno usa lo strumento per gli scopi per cui è stato creato, la responsabilità è di chi l'ha creato

Ad esempio modificando file di sistema o scaricando ed usando software piratato?

Originariamente inviato da pabloski

altrimenti non vedo perchè in certi ambiti si parla di certificazioni, controlli, verifica delle specifiche, ecc....

Fai la specifica, bene.
Controlla la specifica, bene.
Implementa la specifica, bene.

Controlla se quello che hai implementato è effettivamente quello che era richiesto dalla specifica, bene.

Passo il test.

Esce fuori un raro problema di gestione della memoria, ma il programma faceva quello per cui l'ho progettato e tutti i test mi hanno dato conferma di questo.

Sei ancora così convinto che sia tutto così banale?

Originariamente inviato da pabloski

non vedo il nesso tra windows e google video

google video ti dà la possibilità di pubblicare dei video e in quel caso gli utenti ne hanno abusato

Perché se io sono un criminale che tira fuori un malware o un trojan la colpa dovrebbe essere di Microsoft?

Un malware ed un trojan sono sempre applicazioni, non è che siano qualcosa di molto più complicato.

Ho creato una applicazione per fare danni.

E lo stesso posso fare in altri sistemi.

Originariamente inviato da pabloski

con windows stai semplicemente navigando, incappi in un sito infetto e viene infettato....mi sembrano due fattispecie profondamente differenti

Forse succedeva con XP ed IE6...

E comunque ciò non toglie che scaricare ed installare applicazioni esterne costituisce SEMPRE un rischio.

Originariamente inviato da pabloski

dovresti vedere i listati vhdl di un banale microcontrollore allora

non so se hai mai progettato hardware, ma credimi, il software a confronto è un gioco da ragazzi

Ed ecco la cappellata del decennio.

Originariamente inviato da pabloski

magari fosse così determistico il testing....

ci sono variabili che a volte compaiono in determinate condizioni, come il caso dell'isteresi, divenuta un problema con la miniaturizzazione

Perché dovrebbe essere diverso per il software allora, che come ho già detto tra le sue caratteristiche annovera l'invisibilità (ovvero il fatto di non poter fisicamente vedere l'oggetto con cui interagisco)?

E comunque quelli che citi sono limiti e difetti di una data tecnologia, ma non difetti di progettazione o difetti che si manifestano col tempo per determinati input.

Originariamente inviato da pabloski

no in quel caso si finisce proprio sul penale

se tu produci un bene e aggiungi un difetto apposta passi un guaio gigante....se produci un bene e lo vendi difettato perchè hai fatto male i tuoi calcoli sei comunque civilmente responsabile

No, sto parlando di chi sfrutta un sistema per causare un danno.

Originariamente inviato da pabloski

con l'hardware, a volte, certe variabili si presentano anche se tu non vuoi....almeno col software puoi limitare questa possibilità

Rientrano nella sfera dei disturbi, in genere conosciuti ed eliminabili, quindi si può fare.

Ci sono dei margini di tolleranza per le variabili, cosa che spesso con il software non hai, come ho già detto, basta un bit fuori posto.

Originariamente inviato da pabloski

ovviamente si testa su più configurazioni possibile

Si, ma di fatto non puoi garantire che un software si comporti sempre correttamente su 150 milioni di configurazioni hardware, molte delle quali distinte.

Originariamente inviato da pabloski

si ma che un circuito logico in certe condizioni di lavoro può andare in blocco, questo è difficile da prevedere proprio come succede col software

Magari hai un circuito secondario, e anche qui è abbastanza semplice aumentare l'affidabilità con la ridondanza, il tuo prodotto continua a funzionare come prima.

In un software se un codice fallisce il massimo che puoi fare è sollevare un eccezione e se sei fortunato puoi gestirla correttamente, altrimenti sei costretto a terminare il programma.

La maggior parte di questi problemi avviene per corruzione della memoria, non a caso i sistemi più delicati hanno una memoria a correzione di errore ECC.

Originariamente inviato da pabloski

mai sentito parlare di stepping, workaround, aggiornamenti del microcodice?

ragazzi ma che è oggi, capisco che fa caldo, ma avete proprio svuotato il cervello

Lo stepping è quello che ho citato io, gli aggiornamenti al microcodice ti dimostrano che l'errore può essere lì (ovvero nella componente software) piuttosto che nell'hardware.

Originariamente inviato da pabloski

e infatti l'hardware presenta più problemi di progettazione del software

Vedi sopra.

Originariamente inviato da pabloski

mmm sei convinto? guarda che è possibile prendere un aspirapolvere, cambiargli i circuiti d'alimentazione e renderlo più potente

Questo non è estenderne la funzionalità, ma al massimo potenziare... non puoi prendere un aspirapolvere e farne un televisore.

Che di fatto è quello che fai quando installi un nuovo programma sul tuo PC.

Originariamente inviato da pabloski

dipende dall'incapacità dell'ingegneria del software nel creare modelli matematici efficaci per simulare il software

Dipende dalla complessità del software. Il software è una entità complessa, cosa che ti sfugge.

Originariamente inviato da pabloski

di certo non è colpa dell'utente che si limita solo a doppiocliccare

L'utente non è educato ad usare il PC in maniera corretta, perché il PC prevede molte interazioni anche diverse fra loro.

Il problema è che si pensa al PC come un qualsiasi elettrodomestico di consumo che abbia un numero finito di possibilità.

In realtà il numero di programmi sviluppabili è pressoché infinito (nell'ordine degli interi).

Originariamente inviato da pabloski

beh se li installi volontariamente è ovvio

Originariamente inviato da pabloski

la robustezza sta proprio nell'impedire che possano autoinstallarsi con facilità o installarsi fingendosi programmi innocui

E chi ha parlato di volontarietà? Scarichi un programma (apparentemente) normalissimo, lo esegui e parallelamente hai il tuo bel trojan installato.

Il problema che molti non vedono è che questo è un sistema basato sulla fiducia. Tu ti fidi del programma che stai scaricando, e l'utente normale si fida anche dei file che tipicamente costituiscono un rischio (warez e quant'altro).

Questo ti dimostra un altro punto di complessità del software, sempre riconducibile al fatto dell'invisibilità dello stesso.

Non è facile e immediato per un utente dire cosa un software stia facendo in un dato momento.

Originariamente inviato da pabloski

i famosi repository contro i trojan, varie tecniche di programmazione contro i worm

Tempo fa Fedora ha rischiato grosso con i repository, erano riusciti ad entrare.

Originariamente inviato da pabloski

beh vuol dire che a Redmond dovrebbe cambiare management

E perché se Microsoft è dov'è ora come ora è dovuto soprattutto a Ballmer?

Originariamente inviato da pabloski

quindi Mojave fu proprio una truffa?

Mojave è stato creato per dimostrare che la gente aveva pregiudizi nei confronti di Vista, è stato un esperimento.

Originariamente inviato da pabloski

certo, ma la differenza non sta solo nel nome ma anche, evidentemente, nelle ottimizzazioni e nei cambiamenti ( alcuni radicali )

Di cambiamenti radicali non ne ho visti, a parte l'interfaccia.

Originariamente inviato da pabloski

questo però succede quando ci si lega a software proprietario che non vuole saperne di usare formati aperti e mi riferisco sia a ms che ai vari gestionali closed source che non vengono aggiornati

Ad ognuno la propria responsabilità.

Comunque basta OT dai... ogni volta per risponderti impiego ore .

[pabloski]

Originariamente inviato da WarDuck

XP riceverà patch di sicurezza fino al 2014, non credo Microsoft sia vincolata verso qualcuno in particolare per questo, in ogni caso non vedo il problema, il supporto è stato esteso, AMEN.

e quindi non è per grazia ricevuta

Mi ricordo che cercavi di arrampicarti sugli specchi, addirittura negando l'evidenza sul fatto che Vista e 7 erano più sicuri di XP, spostando la questione verso altri prodotti come SQL Server o IIS, salvo dimostrarti anche in quel caso che non erano vulnerabili come sostenevi.

no mi limitai a postare quelle statistiche e nulla più....tu invece dicevi che buona parte erano patchate

ovviamente io parlavo di trend, tu di quante vulnerabilità c'erano in giro usabili

Infatti non ho parlato di kernel, ma di sistema operativo.

in questo caso dobbiamo ficcarci pure iis

Windows 7 ha una serie di componenti integrati, se è fallato un suo componente allora si può dire che Windows 7 ha una falla.

dipende....se si giudica windows server non si può non includere iis

se si parla di desktop, iis non c'entra

stesso discorso vale per openssh nel caso di linux...

Ma per l'esecuzione di un malware o di un trojan non c'è bisogno che ci sia una falla nel sistema operativo.

si però il malware deve arrivarci nel pc prima

Ma è bene precisare che malware e trojan sono delle applicazioni che non necessariamente dipendono da una falla del SO.

ovviamente

Spesso per Linux si intendono le distribuzioni GNU/Linux, quindi occorre precisare bene di cosa stiamo parlando.

lo so, leggo le sparate di molti fanboy su vari forum che prendono la palla al balzo

Per quanto mi riguarda ogni distribuzione fa storia a se, certo se openssh è installato nella maggior parte delle distribuzioni oppure è una dipendenza di pacchetti "primari" (come può essere Xorg, KDE o Gnome), allora è un problema per molte distro e quindi si può dire che è un problema di GNU/Linux.

in quel caso, ad esempio, il problema stava solo in debian e derivate, mentre le altre erano ok

eppure ci fu un assolto di avvoltoi incredibile

Tralasciando il fatto che:

Extremely critical: 0%
Highly critical: 57%

Le vulnerabilità patchate sono tali, nel momento in cui vengono patchate non costituiscono più una vulnerabilità per il sistema (aggiornato).

sono d'accordo, ma il punto è che se oggi viene scoperta una vulnerabilità in 7 c'è il 57% di possibilità che consenta l'esecuzione remota

in linux questa possibilità è del 7%

questo implica un rischio potenziale 8 volte superiore

Non mi riferivo al fatto che modificare un codice porta ad introdurre potenzialmente altri bug, quanto alla tua convinzione che neanche tra 4 miliardi di anni fanno la patch.

infatti è così....creare una patch che al 100% non crea problemi non è una banalità...spesso accade che una patch esponga il sistema a nuovi tipi di attacchi

ma questo è ovvio, perchè modificando un pezzo di codice possono crearsi condizioni ingestibili da altri pezzi di codice

Ho i Norton DNS che mi hanno bloccato l'accesso a quei siti, perché evidentemente contengono malware, ti invito a togliere i link e comunque non dimostrano nulla, solo che esistono siti che collezionano questi exploit.

quei siti non hanno malware solo exploit e forse Norton vuole che cresciamo tutti ignoranti

quei link dimostrano semplicemente quello che ho affermato e cioè nel settore sicurezza è prassi pubblicare gli exploit

Io difendo l'obiettività ed è proprio per questo che te caschi male con me.

beh dalla risposta che mi hai dato sugli exploit non direi

Ma come l'hardware non era più complesso del software?

non mi pare di essermi smentito e infatti ho semplicemente detto che la verifica formale è spesso impossibile

nemmeno l'hardware è soggetto a verifica formale altrimenti non avremmo gli stepping, i workarounds e già citati update del microcodice

Ripeto quello è L'UNICO MODO SICURO per testare il software, non ce ne sono altri che ti garantiscono la stessa affidabilità.

ed è anche l'unico metodo che si può applicare al massimo nel 3% dei casi

Anche qui, basta esserne convinti.

oppure basta nascondere la testa sotto la sabbia per non vedere l'evidenza

questione di punti di vista

sei convinto che l'avere millemila versioni di kernel, librerie e avere instabilità a livello api/abi renda difficile la vita dei malware? se conosci la materia non dovrebbe esserti difficile ammettere che è così

Intanto dalle truffe come il phishing (che rappresenta una se non forse la maggior fonte di guadagno per i cyber-criminali) non ti protegge.

veramente la maggior fonte di guadagno sono gli spyware come zeus

e poi dando per buona la tua affermazione, ciò non implica che in ogni caso linux offre un livello di protezione superiore....forse è questo che ti disturba ammettere, per cui ci stai girando attorno da 3 post?

Ad esempio modificando file di sistema o scaricando ed usando software piratato?

che io sappia, l'utonto non può manualmente modificare file di sistema

il discorso dell'uso del software pirata pure è risibile, visto che come ho scritto basterebbero gli md5 a tagliare le gambe ai trojan

come vedi il problema esiste perchè non c'è un sistema di controlli robusto ed affidabili

Fai la specifica, bene.
Controlla la specifica, bene.
Implementa la specifica, bene.

se fossi così facile esisterebbe il software bug free

implementare una specifica bene in ambito software? ammirevole utopia, ma solo utopia

Controlla se quello che hai implementato è effettivamente quello che era richiesto dalla specifica, bene.

il punto è che non c'è modo di stabilirlo visto che, l'hai detto tu stesso, gli input sono virtualmente infiniti

verificare l'implementazione di una specifica significa poter sottoporre l'implementazione a tutte le possibili condizioni reali....per il software ( e per l'hardware pure ) è impossibile

Esce fuori un raro problema di gestione della memoria, ma il programma faceva quello per cui l'ho progettato e tutti i test mi hanno dato conferma di questo.

test che per definizione non possono essere completi....ecco perchè la verifica formale è pura utopia

Sei ancora così convinto che sia tutto così banale?

mmm veramente sto dicendo che è complesso

Perché se io sono un criminale che tira fuori un malware o un trojan la colpa dovrebbe essere di Microsoft?

la colpa è di microsoft che non predispone sistemi di sicurezza efficaci

loro hanno voluto gli utonti? bene, hanno la responsabilità di creare un sistema sicuro per gli utonti

del resto non è una cosa così incredibile, apple lo sta facendo con iOS

Forse succedeva con XP ed IE6...

mmm mi sa che ormai vivi in un mondo parallelo http://www.youtube.com/watch?v=46114zQiVgg

siamo all'invulnerabilità di windows 7 e ie8 quindi? ....alla faccia dell'obiettività

E comunque ciò non toglie che scaricare ed installare applicazioni esterne costituisce SEMPRE un rischio.

ovvio

Ed ecco la cappellata del decennio.

deduco che non è il tuo settore quello dell'hardware

Perché dovrebbe essere diverso per il software allora, che come ho già detto tra le sue caratteristiche annovera l'invisibilità (ovvero il fatto di non poter fisicamente vedere l'oggetto con cui interagisco)?

non è diverso è solo più deterministico

non a caso è più facile trovare un bug software che hardware

E comunque quelli che citi sono limiti e difetti di una data tecnologia, ma non difetti di progettazione o difetti che si manifestano col tempo per determinati input.

si ma nella realizzazione dei circuiti c'è pure la tecnologia....se facciamo un discorso pratico non è che possiamo escluderla

No, sto parlando di chi sfrutta un sistema per causare un danno.

un danno reso possibile dalla mancanza di adeguati sistemi di protezione

Rientrano nella sfera dei disturbi, in genere conosciuti ed eliminabili, quindi si può fare.

Ci sono dei margini di tolleranza per le variabili, cosa che spesso con il software non hai, come ho già detto, basta un bit fuori posto.

il problema è che il software ha il vantaggio di funzionare in un ambiente dove conosci almeno chi sono le variabili, indipendentemente dai valori strani che possono assumere

Si, ma di fatto non puoi garantire che un software si comporti sempre correttamente su 150 milioni di configurazioni hardware, molte delle quali distinte.

e questo sai perchè? per difetti dell'hardware e/o poco aderenza/errata implementazione delle specifiche da parte dei produttori di hardware

Lo stepping è quello che ho citato io, gli aggiornamenti al microcodice ti dimostrano che l'errore può essere lì (ovvero nella componente software) piuttosto che nell'hardware.

veramente avevi detto

"Si fixano in che modo sentiamo, ti prendono il circuito e te lo modificano mettendoci una toppa e ridandotelo oppure ne fanno una versione con le modifiche apportate e lo rimettono in produzione così modificato (quindi di fatto costituendo un "nuovo prodotto")? "

in pratica hai affermato che un fix è impossibile

Questo non è estenderne la funzionalità, ma al massimo potenziare... non puoi prendere un aspirapolvere e farne un televisore.

come no, prendendo pezzi utili dall'aspirapolvere e aggiungendo altri pezzi utili a costruire il televisore

col software non fai forse così?

Dipende dalla complessità del software. Il software è una entità complessa, cosa che ti sfugge.

ci sono altre scienze che presentano problematiche altrettanto complesse, ma hanno anche metodi robusti di modellazione

l'ingegneria del software non ce li ha e infatti la ricerca volge disperatamente verso la verifica formale

L'utente non è educato ad usare il PC in maniera corretta, perché il PC prevede molte interazioni anche diverse fra loro.

mmm quindi il motto del winaro crolla? ovvero il pc "fa tutto lui"

se l'utente deve acculturarsi allora tanto vale installare linux, anzi installare gentoo

Il problema è che si pensa al PC come un qualsiasi elettrodomestico di consumo che abbia un numero finito di possibilità.

ti faccio notare che MS è uno dei fautori di questa visione

Il problema che molti non vedono è che questo è un sistema basato sulla fiducia. Tu ti fidi del programma che stai scaricando, e l'utente normale si fida anche dei file che tipicamente costituiscono un rischio (warez e quant'altro).

ma se ci fossero gli md5 di mezzo staremmo tutti più tranquilli

Questo ti dimostra un altro punto di complessità del software, sempre riconducibile al fatto dell'invisibilità dello stesso.

veramente dimostra solo che l'ingegneria del software si trova si e no nella pubertà e sta ancora cercando la sua strada

Non è facile e immediato per un utente dire cosa un software stia facendo in un dato momento.

motivo per cui bisogna creare sistemi d'installazione e gestione del sistema più sicuri

Tempo fa Fedora ha rischiato grosso con i repository, erano riusciti ad entrare.

certo, avevano rubato alcune password ftp ma non avevano le chiavi per le firme dei pacchetti, quindi non hanno potuto fare nulla

poi ti ricordo che è successo una sola volta in 17 anni ( da quando esiste redhat )....i trojan per windows invece sono all'ordine del giorno

E perché se Microsoft è dov'è ora come ora è dovuto soprattutto a Ballmer?

dov'è ero? intendi col fallimento di vista sul groppone, kin fallito, courier morto in fasce, windows mobile che perde share e la divisione search che fa acqua

ah beh, certo non è arrivato ancora al livello di inettitudine di tanti manager italiani

Mojave è stato creato per dimostrare che la gente aveva pregiudizi nei confronti di Vista, è stato un esperimento.

un esperimento che in molti hanno definito una buffonata, visto che se la sono cantata e suonata da soli

pochi mesi dopo l'esperimento Ballmer ha ammesso che vista non sarebbe mai dovuto nascere

mi sa che la tru....ehm....esperimento non gli è riuscito tanto bene

Di cambiamenti radicali non ne ho visti, a parte l'interfaccia.

hanno fatto parecchi arragiamenti al sottosistema audio, modificato wddm, rivisto lo stack wifi, migliorato superfetch, ottimizzato il codice

i cambiamenti ci sono stati eccome

[bondocks]

Dico solo una cosa...Ballmer ha detto che Vista è stato un fiasco e che non sarebbe mai dovuto nascere:sai quante copie di 7 ha venduto grazie a questa affermazione?

Ha semplicemente detto quello che in molti volevano sentirsi dire..."si si avete ragione abbiamo fatto una schifezza,adesso però provate questo sistema nuovo "

La cosa triste è che ha pure fatto un successone! Ricordo appena uscito 7 i miei colleghi che mi dicevano "hai visto questa nuova funzione?" "Hai visto che bello?" "Hai visto che comodità?=....e io intanto che continuavo a ripetere la solita solfa...non hai voluto provare Vista ma quella cosa già c'era,e funzionava uguale!!!